云服务器初始化时，安全组和网络策略是第一道防线；须遵循最小开放、按需放行、明确来源原则，分层设置管理、业务与内部流量规则，区分安全组（实例级）与网络ACL（子网级），并验证固化策略。
云服务器初始化时，安全组和网络策略是第一道防线，配置不当容易导致无法远程登录、服务不可达或暴露高危端口。核心原则是：最小开放、按需放行、明确来源。
安全组规则要按角色分层设置
不要用一个“全通”安全组应付所有场景。建议区分管理流量（如SSH/RDP）、业务流量（如HTTP/HTTPS/数据库端口）和内部通信（如VPC内微服务调用）。
- 管理端口（如22/3389）只允许运维IP段或跳板机IP，禁用0.0.0.0/0
- Web服务（80/443）可对0.0.0.0/0开放，但建议配合WAF或CDN做前置过滤
- 数据库端口（如3306/5432/6379）严禁对外网开放，仅限内网子网或指定应用服务器IP访问
- 出方向规则默认全放通即可，除非有合规审计要求限制外连
网络策略需与VPC结构对齐
安全组是实例级防火墙，而网络ACL（如阿里云的“网络访问控制”或AWS的NACL）是子网级状态无关规则，两者互补但不重复。初始化时应：
- 在VPC内划分清晰的子网层级（如public/subnet、private/subnet、db/subnet）
- 为不同子网绑定差异化的网络ACL：例如public子网允许入向80/443，private子网默认拒绝所有入向
- 避免在安全组和网络ACL中同时设相同规则，否则排错困难；优先用安全组做精细控制
初始化后必须验证并固化策略
配置完不能直接上线，需逐项验证连通性，并将策略纳入版本管理。
- 用
telnet或nc测试关键端口是否可达（如nc -zv your-server-ip 22） - 检查SSH登录、Web服务响应、数据库连接是否符合预期，尤其注意源IP是否被误拦
- 导出当前安全组规则为JSON/YAML，存入Git仓库，后续变更走CR流程
- 启用云平台的“安全组变更审计日志”，便于追溯误操作
常见易错点提醒
很多初始化失败源于细节疏忽：
- 安全组绑定的是实例，不是ECS/EC2本身——创建实例时未选择安全组，或选错已有组
- IPv4和IPv6规则独立配置，开启IPv6后未同步添加对应规则，导致双栈环境部分不通
- 云厂商控制台界面默认显示“全部规则”，但实际生效顺序取决于规则ID（如阿里云按优先级数字升序匹配），高优规则要前置
- 使用自动伸缩组（Auto Scaling）时，新实例继承启动模板中的安全组，务必确认模板已更新
